支持本站 — 捐款将帮助我们持续运营

目标：1000 元，已筹：736 元

73.6%
立即捐款
一、 漏洞 CVE-2026-0691 基础信息
漏洞信息
                                        # CM E-Mail Blacklist 1.6.2以下 存储型XSS漏洞

## 概述
WordPress插件“CM E-Mail Blacklist”在1.6.2及之前版本中，因对'black_email'参数缺乏充分的输入过滤和输出转义，存在存储型跨站脚本（Stored XSS）漏洞。

## 影响版本
1.6.2及以下版本。

## 细节
该漏洞由'black_email'参数中未正确过滤和转义用户输入导致。经过身份验证且具备管理员及以上权限的攻击者可利用此漏洞，向页面注入恶意脚本。

## 影响
注入的脚本将在用户访问受影响页面时执行。此漏洞仅影响多站点安装环境，或禁用了unfiltered_html功能的站点。
神龙判断

是否为 Web 类漏洞： 未知

判断理由：

N/A
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
CM E-Mail Blacklist <= 1.6.2 - Authenticated (Administrator+) Stored Cross-Site Scripting via 'black_email' Parameter
来源：美国国家漏洞数据库 NVD
漏洞描述信息
The CM E-Mail Blacklist – Simple email filtering for safer registration plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'black_email' parameter in all versions up to, and including, 1.6.2. This is due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with administrator-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This only affects multi-site installations and installations where unfiltered_html has been disabled.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:L/I:L/A:N
来源：美国国家漏洞数据库 NVD
漏洞类别
在Web页面生成时对输入的转义处理不恰当(跨站脚本)
来源：美国国家漏洞数据库 NVD
二、漏洞 CVE-2026-0691 的公开POC
#POC 描述源链接神龙链接
三、漏洞 CVE-2026-0691 的情报信息
  • https://plugins.trac.wordpress.org/browser/cm-email-blacklist/tags/1.6.2/backend/views/settings/email_blacklist.phtml#L67

  • 标题： ERROR: The request could not be satisfied -- 🔗来源链接

    标签：

    神龙速读：
                                            - **Error Code:** 403
- **Error Message:** The request could not be satisfied.
- **Reason:** Request blocked. We can't connect to the server for this app or website at this time. There might be too much traffic or a configuration error.
- **Solution:** 
  - Try again later.
  - Contact the app or website owner.
  - If you provide content to customers through CloudFront, troubleshoot and prevent the error by reviewing the CloudFront documentation.
- **Generated by:** cloudfront (CloudFront)
- **Request ID:** 65A6JLYn04Zt3li6w1fz0wurfYus7Ywk8kw2S5RI8wrnebziSPQIO==
    ERROR: The request could not be satisfied
  • https://plugins.trac.wordpress.org/browser/cm-email-blacklist/trunk/backend/views/settings/email_blacklist.phtml#L67

  • 标题： Changeset 3440158 for cm-email-blacklist – WordPress Plugin Repository -- 🔗来源链接

    标签：

    神龙速读：
                                            以下是关键信息的简洁Markdown格式：

```markdown
- **Changeset:** 3440158
- **Plugin:** cm-email-blacklist
- **Timestamp:** 2015/2026 08:58:44 AM (5 days ago)
- **Author:** CreativeMindsSolutions
- **Message:** release a new version with security fix
- **Files Added:** 124 files
    - **Backend Related:** backend/*, backend/views/*.phpml, backend/views/settings/*.phpml
    - **Lib Related:** lib/*, lib/models/*.php
    - **Package Related:** package/*, package/views/*.php
```

这些信息表明了：
- 该插件在近期更新中修复了一个安全漏洞。
- 更新涉及了大量文件的添加，可能涉及到插件的功能性增强以及安全机制的完善。
    Changeset 3440158 for cm-email-blacklist – WordPress Plugin Repository
  • https://nvd.nist.gov/vuln/detail/CVE-2026-0691
四、漏洞 CVE-2026-0691 的评论

暂无评论

发表评论